Thewei666的博客

在TCP三次握手建立网络连接后，客户端向服务器发送Client Hello与服务器协商参数，服务端回复Server Hello确认参数并发送证书。客户端验证服务器证书，生成并使用服务器公钥加密发送预主密钥。服务器解密预主密钥并生成会话密钥，使用会话密钥进行数据传输。

DH算法：Diffie-Hellman，密钥交换算法用户A与用户B通信，有两个公知数p和g，每个用户拥有一个私有数x或y。当通过两个公知数p和g以及一个私有数通过公式可以计算出一个X或Y。双方交换自己的X或Y，通过p，g，X或Y即可计算出双方需要传递的信息。

区分不同的签名。

防火墙的带宽管理：是指对防火墙设备的带宽进行管理和控制，以确保网络流量的合理分配和优化网络性能带宽管理：是指限制网络流量的速率或控制网络流量的优先级，以确保网络的性能和可用性核心：带宽限制：针对非关键业务流量进行限制，限制其占用带宽的比例带宽保证：保证关键业务流量的带宽需求得到满足连接数限制：限制非关键业务的连接数量，减少会话资源，达到带宽限制的目的，可以通过限制某些业务的最大连接数来实现传统的带宽限制手段：数据丢包，这样可能导致数据包需要重传，造成冗余数据包的拥挤。所以类似深信服这样的

防火墙不仅需要同步配置信息，还需要同步状态信息（会话表）等，所以防火墙并不能像路由器那样单纯的靠动态协议来实现切换，因此需要双机热备技术来实现切换。一种系统高可用性的解决方案，旨在通过配置两台或多台服务器来实现业务连续性，以防止因单台服务器故障而导致的应用中断。当主服务器出现故障时，备份服务器可以立即接管主服务器的业务，确保业务的连续运行目前双机热备技术只支持两台防火墙的互备将两台服务器配置为相同的系统状态和数据，热备设备与目标设备共同运转，当目标设备发现故障或停机时，热备设备立即承担起故障设备的工作任务。

例：HTTP协议中如果你发送了一个request请求，那么后续回来一定是response；TCP协议中发送的第一个数据包是SYN，则后续的数据包为ACK+SYN，光是一个ACK或SYN都是不符合定义的后续报文要求会话表技术：提高转发效率的关键，其主要是采用老化机制。

USG系列是华为提供的一款高端防火墙产品，其特点在于提供强大的安全防护能力和灵活的扩展性。以eNSP中的USG6000为例：MGMT口（web管理口）：对应设备上的G0/0/0口，上面初始配有一个IP地址192.168.0.1/24，并且自动开启了web控制以及DHCP的功能初始账号：admin初始密码：Admin@123在eNSP中我们使用USG6000V来进入Web管理页面：在虚拟设备中，需要我们手动开启服务，不然无法进入Web管理页面（真实设备自动开启）

VGMP协议是在VRRP协议的基础上开发的，其最主要的主要作用是集中管理VRRP备份组，控制VRRP状态的统一切换。在传统的VRRP协议中，VRRP组是相互独立的，一个VRRP组的切换不会导致其他VRRP组进行同步切换。而在防火墙的双机热备场景中，防火墙上下有各有一个VRRP组，需要同步切换，而传统的上行链路监控比较复杂，因此设计了VGMP协议来对VRRP进行统一的切换管理，确保网络中的流量能够正确的路由和转发。

此时可以采用VRRP技术，将AR1和AR2虚拟成一个虚拟路由，来共享一个内网虚拟IP地址（192.168.1.4）来充当PC1的网关和另一个虚拟IP地址（1.1.1.4）来充当AR3的下一跳，当主路由器发生故障时，会立即切换到备份路由器来使用虚拟IP以保证PC1的网络通信。VRRP路由器在初始状态下都认为自己是备份路由器（Backup），然后与其他路由器比较优先级，优先级最高的路由器成为主路由器（Master），其他路由器成为备份路由器（Backup）。解决局域网中配置静态网关出现单点失效现象。

服务器主动打开连接，它使用新的临时端口作为源端口，而使用收到的来自客户的临时端口作为目的端口，向TFTP客户进程发送DATA报文。- 客户收到服务器的报文后，发送4B的ACK（Acknowledgment，确认）报文给TFTP服务器，告诉它之前发送给客户的数据报已经收到。- 如果待发送的数据的总长度正好是512的整数倍，服务器进程会再次发送一个包含0字节数据的DATA报文（总长度为4B=2B操作码+2B块号+0B数据），以明确指示传输结束。- 重复上述的数据发送和确认过程，直到所有请求的数据发送完毕。

为弥补包过滤防火墙和应用代理防火墙的缺点，许多防火墙产品将包过滤技术和应用代理技术相结合，以提高防火墙的综合性能。而状态监测防火墙是一种非常有效的网络安全工具，它通过跟踪网络连接状态，能够有效的监控和控制网络流量。它具有高效性、安全性、灵活性和透明性等优点，但也存在一些限制和缺点。在实际应用中，也需要根据网络环境和安全需求综合考虑去选择合适的防火墙产品。

一种恶意程序，可以感染设备、网络与数据中心并使其瘫痪，直至用户支付赎金使系统解锁。

Hybrid接口的实现在于华为和思科对于VLAN原理的不同，思科的设备在VLAN的工作过程中，交换机内部的数据包是不携带Tag的，只有在Trunk接口才会对标签进行“贴”或“撕”。在Trunk干道中有一种特殊的VLAN叫Native VLAN（本征VLAN），因为Trunk接口能够识别VLAN Tag，所以当两边都有一种数据包不被标记时，就可以认为是同一VLAN的数据包，默认VLAN1为Native VLAN。不能修改是否携带标记，默认为不携带标记，PVID可以修改，PVID等于VLAN ID。